Juridische vraag: school installeert spyware op laptop
Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"Security: Deskundig en praktisch juridisch advies".
Vraag: Mijn onderwijsinstelling geeft laptops in bruikleen aan medewerkers. Zij mogen alles doen (je krijgt administratorrechten), en het beheer doet niets meer dan op verzoek alles formatteren en opnieuw installeren. Zo wil men de kosten laag houden. Maar om te voorkomen dat men aansprakelijk gesteld wordt voor licentieschendingen, wil men wel een speciale tool installeren die op de achtergrond draait en doorgeeft welke software wordt geïnstalleerd. Dit wordt dan tegen een blacklist gecontroleerd. Maar mag dat wel?
Antwoord: Het is heel creatief dat deze instelling haar medewerkers zo veel ruimte geeft, dat zie je niet vaak bij grote instellingen. De aanpak van "doe het zelf en wij herinstalleren alleen" lijkt mij organisatorisch prima, hoewel een alternatief "wij doen alles maar dan mag je zelf niets installeren" misschien nog wel handig is.
Punt is wel dat de organisatie ook in deze situatie aansprakelijk is voor illegale handelingen gepleegd met de laptops. Het zijn en blijven bedrijfslaptops, en de werkgever is aansprakelijk voor hetgeen de werknemer doet naar derden toe. Ook als dit expliciet verboden is! Je moet als werkgever echt actief toezicht houden en ingrijpen als je problematische situaties ziet ontstaan om je aansprakelijkheid te kunnen beperken. Een bordje ophangen "illegale software installeren is verboden" is echt niet genoeg. De blacklist en monitoring software is dus een goede poging om dit risico in te dammen.
Als het een volledig automatische tool is, dan zie ik er weinig problemen mee. Je krijgt dan een waarschuwing, of misschien zelfs een blokkade op het uitvoeren van die software. Dat zou netjes zijn: is de melding terecht dan kun je de software deinstalleren, is de melding onterecht dan kun jij als medewerker kiezen te escaleren naar de juiste persoon.
Een automatische mail naar het management is een heel ander verhaal. Dat lijkt me niet direct proportioneel, dus dat zou ik pas doen na een waarschuwing (of twee) waar niet op gereageerd is. Maar als het even kan, zou ik adviseren om alleen te werken met een automatische tool zodat mensen zelf moeten piepen als er iets onterecht geblokkeerd wordt.
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.
Peter
De school heeft maatregelen genomen om illegale software tegen te gaan. Een device wat je fysiek in handen hebt is nooit 100% te beveiligen. Als jij dit soort maatregelen omzeilt zal de school een stuk sterker staan om hun onschuld aan te tonen als illegale software op "jouw" laptop wordt aangetroffen. Of, indien ze daar toch een boete voor krijgen, die bij jouw te vorderen.
Je zegt in je antwoord:
Zie http://www.arbeidsrechter.nl/werkgever-risico-aansprakelijkheid-voor-schade-door-fout-werknemer waar men zegt:
"Je moet als werkgever echt actief toezicht houden en ingrijpen als je problematische situaties ziet ontstaan om je aansprakelijkheid te kunnen beperken."
Actief toezicht kan, maar dat zou ook zonder of met andere technische maatregels (opnemen in arbeidsovereenkomst/getekend computerreglement/bruikleenovereenkomst, sociale controle, regelmatige of overvalscontrole door baas, monitoren netwerkverkeer - met inachtneming privacy etc) kunnen.
Wat me meer zorgen baart is dat iedereen admin heeft => legale software van verdachte bron kan worden geinstalleerd;drive by exploits via web browsers=>malware op laptops=>netwerk besmet. Het lijkt me handig dat ze de overige hosts op het netwerk en de netwerkdevices goed dichtzetten...
Ik vond ook de passage iets verderop in de uitleg verhelderend i.r.t. het vanuit de organisatie afdwingen van ib maatregelen tegenover de verantwoordelijkheid bij de medewerker leggen.
Het enkele hebben van regels is NIET genoeg voor ontslag. Je moet echt een dossier opgebouwd hebben én liefst ook pogingen tot verbeterstappen vanuit directie laten zien alvorens je een vergunning krijgt. Anders wordt het een hele dure grap, of kan de rechter zelfs bepalen dat meneer of mevrouw gewoon mag blijven werken. Leuk voor de sfeer dat.
gr. Willem
Nee hoor, de eigenaar is juridisch verantwoordelijk. Indien er bij controle op bedrijfsdesktops of bedrijfslaptops illegale software staat, dan moet de werkgever betalen. Als werkgever kan je niet de schuld afschuiven door te stellen dat je je medewerkers admin rechten geeft, en dat het hun verantwoordelijkheid is.
Overigens is een werkgever inderdaad aansprakelijk voor het weggedrag van de werknemer tijdens zakelijke ritten onder werktijd. Indien een vrachtwagenchauffeur of busbestuurder jou aanrijdt, dan is zijn werkgever daarvoor (mede-) verantwoordelijk.
Dat is echter een geheel ander onderwerp ;)
"Als men admin rechten heeft kan men die tool ook verwijderen. Lijkt me derhalve een slecht plan"
De hele situatie lijkt me vanuit beveiligingsoogpunt niet optimaal, maar op zich hoeft dat niet het grootste probleem te zijn; indien je aan de serverkant kan zien dat een medewerker dat doet, bijvoorbeeld doordat je geen dagelijkse update meer ontvangt, dan kan je hem of haar daarop aanspreken en indien nodig maatregelen nemen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.